Política de Privacidad y Protección de Datos Personales

Versión 1.0 Vigente desde: [FECHA DE PUBLICACIÓN] Jurisdicción: República del Ecuador

1. Quién trata sus datos

Esta política se rige por la Ley Orgánica de Protección de Datos Personales (LOPDP) del Ecuador y su Reglamento General, y se interpreta conforme a las resoluciones de la Superintendencia de Protección de Datos Personales.

2. Dos roles distintos: profesional y paciente

Nativa Health es una herramienta que usan profesionales de la nutrición para atender a sus propios pacientes. Esta distinción determina quién responde por cada dato:

En términos prácticos: si usted es paciente, quien decide sobre su historia clínica es su nutricionista, no nosotros. Nativa Health almacena y procesa esa información por cuenta del profesional, sin usarla para fines propios. Para ejercer sus derechos sobre datos clínicos, diríjase primero a su profesional tratante (ver sección 11).

Las obligaciones que asume Nativa Health como encargado están detalladas en el Anexo de Encargo del Tratamiento, que forma parte del contrato con cada profesional.

3. Qué datos tratamos

3.1 Datos del profesional

• Identificación y acceso: nombre completo, correo electrónico y contraseña. La contraseña se gestiona mediante el servicio de autenticación de Supabase y nunca se almacena en texto legible.
• Cuenta: identificador único, plan contratado (gratuito o profesional), fechas de creación y actualización.
• Datos de facturación cuando contrata un plan de pago, procesados por la pasarela de pago correspondiente.
• Datos de uso: eventos de navegación dentro de la aplicación, sin captura automática de contenido de pantalla ni grabación de sesión (ver sección 6).

3.2 Datos del paciente

Los introduce el profesional tratante, o el propio paciente desde el Portal del Paciente:

• Identificación: nombre, correo electrónico y un PIN numérico de acceso al portal.
• Datos de salud (sensibles): edad, sexo, peso, talla, mediciones antropométricas —incluidos informes ISAK—, diagnósticos y patologías, alergias e intolerancias alimentarias, medicación relevante, resultados de laboratorio que el profesional registre.
• Datos nutricionales y deportivos: requerimientos calóricos, distribución de macronutrientes, planes alimentarios semanales, fórmulas de soporte enteral, fase y carga de entrenamiento.
• Seguimiento aportado por el paciente: registro de hidratación, estado de ánimo, actividad física y adherencia diaria.
• Fotografías de productos alimenticios que el paciente sube voluntariamente para su evaluación.
• Agenda: fecha y hora de las citas, y si son presenciales o por videoconsulta.
• Seguridad de acceso: registro de intentos fallidos de ingreso al portal, guardado de forma seudonimizada para bloquear ataques de fuerza bruta.

4. Para qué los tratamos y con qué base legal

No tratamos datos personales para finalidades incompatibles con las anteriores sin informarle previamente y, cuando corresponda, obtener su consentimiento.

5. Datos sensibles de salud

La LOPDP califica los datos relativos a la salud como datos sensibles y les otorga protección reforzada. En consecuencia:

• El tratamiento de datos de salud requiere el consentimiento explícito, libre, específico e informado del paciente, o de su representante legal si es menor de edad o carece de capacidad.
• Ese consentimiento lo recoge el profesional tratante, no Nativa Health. Ponemos a su disposición un modelo de consentimiento informado listo para imprimir y firmar.
• El consentimiento es revocable en cualquier momento, sin efecto retroactivo sobre tratamientos ya realizados lícitamente.
• Negarse a otorgarlo no puede condicionar la prestación de un servicio distinto de aquel para el que se solicita.
• El acceso a estos datos dentro de la plataforma está restringido al profesional que los creó y al paciente titular. Ningún profesional puede ver los pacientes de otro.

6. Con quién los compartimos

No vendemos datos personales. Los compartimos únicamente con proveedores que nos prestan servicios técnicos necesarios para operar la plataforma, bajo contrato y con obligación de confidencialidad:

También podremos revelar datos cuando exista una orden de autoridad judicial o administrativa competente, o para cumplir una obligación legal.

7. Transferencias internacionales

Varios de los proveedores mencionados operan servidores fuera del Ecuador, principalmente en los Estados Unidos de América y la Unión Europea. Esto implica una transferencia internacional de datos personales.

La LOPDP permite estas transferencias cuando el país de destino ofrece un nivel adecuado de protección o, en su defecto, cuando el responsable adopta garantías suficientes. Dado que Estados Unidos no cuenta con una declaración general de adecuación, Nativa Health se ampara en:

• Cláusulas contractuales y acuerdos de tratamiento de datos suscritos con cada proveedor, que imponen obligaciones equivalentes a las de la LOPDP.
• Necesidad para la ejecución del contrato que usted celebra con nosotros, ya que el servicio se presta sobre esa infraestructura.
• Su consentimiento informado, que se entiende otorgado al aceptar esta política tras haber sido advertido de la transferencia y sus implicaciones.

8. Dónde se almacenan y por cuánto tiempo

8.1 Dos ubicaciones

Los datos clínicos residen en dos lugares simultáneamente:

• En el navegador del profesional, mediante el almacenamiento local del dispositivo. Esto permite trabajar con fluidez y sin depender de la conexión.
• En la base de datos de Supabase, como respaldo y para sincronizar con el Portal del Paciente.

8.2 Plazos de conservación

Cumplido el plazo, los datos se eliminan o se anonimizan de forma irreversible.

9. Medidas de seguridad

Aplicamos medidas técnicas y organizativas proporcionales al riesgo del tratamiento de datos de salud:

• Cifrado en tránsito mediante HTTPS en todas las comunicaciones.
• Aislamiento entre profesionales: cada registro está vinculado al identificador único del profesional que lo creó. Las políticas de seguridad a nivel de fila de la base de datos impiden que un profesional acceda a los pacientes de otro.
• Aislamiento entre pacientes: cada expediente tiene un identificador propio e inmutable.
• Verificación de identidad en el servidor: las consultas de datos clínicos se resuelven en funciones de servidor que validan la sesión del solicitante antes de devolver información. La clave de acceso privilegiada a la base nunca se expone al navegador.
• Contraseñas del profesional gestionadas por el proveedor de autenticación, almacenadas cifradas de forma irreversible.
• PIN del paciente transformado mediante una función criptográfica de resumen antes de almacenarse; el servidor compara resúmenes, no valores en claro.
• Bloqueo temporal del acceso al portal tras varios intentos fallidos, para frenar ataques de fuerza bruta.
• Mensajes de error genéricos: los fallos del servidor no revelan al navegador detalles de la estructura interna de la base de datos.
• Control de sesión única del profesional y expiración automática por inactividad.

10. Vulneraciones de seguridad

Si se produce una vulneración de la seguridad que afecte datos personales, Nativa Health:

1. La documentará internamente, con sus efectos y las medidas correctivas adoptadas.
2. La notificará a la Superintendencia de Protección de Datos Personales dentro del plazo legalmente establecido desde que tenga conocimiento de ella.
3. Cuando la vulneración suponga un riesgo alto para los derechos de los titulares, la comunicará también a las personas afectadas, en lenguaje claro, describiendo qué ocurrió y qué pueden hacer.
4. Si la vulneración afecta datos de pacientes, informará sin dilación al profesional responsable para que este cumpla sus propias obligaciones de notificación.

11. Sus derechos y cómo ejercerlos

La LOPDP le reconoce los siguientes derechos sobre sus datos personales:

11.1 A quién dirigir la solicitud

• Si usted es profesional y su solicitud versa sobre su cuenta: escríbanos a [CORREO@DOMINIO].
• Si usted es paciente y su solicitud versa sobre su historia clínica: diríjase a su nutricionista, que es el responsable de esos datos. Si no logra contactarlo, puede escribirnos y trasladaremos la solicitud al profesional, informándole del resultado.

11.2 Plazo de respuesta

Responderemos dentro del plazo previsto en la LOPDP, contado desde la recepción de la solicitud. El ejercicio de estos derechos es gratuito. Podremos pedirle que acredite su identidad antes de atenderla, precisamente para proteger sus datos.

11.3 Reclamo ante la autoridad

Si considera que no hemos atendido correctamente su solicitud, puede presentar un reclamo ante la Superintendencia de Protección de Datos Personales del Ecuador.

12. Menores de edad

La plataforma está dirigida a profesionales de la nutrición mayores de edad. Sin embargo, un paciente puede ser menor de edad. En ese caso:

• El consentimiento para tratar sus datos de salud debe otorgarlo su padre, madre o representante legal.
• Es responsabilidad del profesional tratante verificar esa representación y conservar constancia de ella.
• Se atenderá siempre al interés superior del niño, niña o adolescente, conforme a la Constitución y al Código de la Niñez y Adolescencia.

13. Decisiones automatizadas

Nativa Health calcula automáticamente requerimientos energéticos, distribución de macronutrientes, planes alimentarios y alertas de contraindicación a partir de los datos que introduce el profesional.

Estos cálculos son herramientas de apoyo, no decisiones automatizadas con efectos jurídicos. Toda propuesta generada por la plataforma queda sujeta a la revisión, modificación y aprobación del profesional de la nutrición, que conserva íntegramente el criterio clínico y la responsabilidad sobre la prescripción. La plataforma no diagnostica, no prescribe medicamentos y no sustituye el juicio profesional.

14. Cambios a esta política

Podemos actualizar esta política para reflejar cambios legales o en el funcionamiento del servicio. Cuando el cambio sea sustancial, se lo notificaremos por correo electrónico o mediante un aviso destacado en la plataforma con al menos 15 días de antelación. La versión vigente será siempre la publicada en esta dirección, con su fecha indicada al inicio.

15. Contacto y reclamos

Documentos relacionados: Términos y Condiciones · Anexo de Encargo del Tratamiento · Modelo de consentimiento informado.